Skip to content
WMIparser

Glossaire

scrcons.exe (WMI Standard Event Consumer)

Le processus Windows qui exécute les scripts d'ActiveScriptEventConsumer. Son exécution, ou celle de ses enfants, oriente vers un abonnement WMI de script.

scrcons.exe, dans C:\Windows\System32\wbem, est l'hôte de script du WMI Standard Event Consumer. Lorsqu'un abonnement permanent dont le consommateur est un ActiveScriptEventConsumer se déclenche, WMI lance scrcons.exe, qui exécute le VBScript ou le JScript du consommateur en tant que SYSTEM. C'est un binaire Windows légitime ; ce qui compte, c'est la raison pour laquelle il s'exécute et ce qu'il fait.

Pourquoi c'est important en investigation

Sur la plupart des systèmes, scrcons.exe s'exécute rarement, car peu de produits légitimes utilisent des consommateurs de script. Son exécution constitue donc en soi une piste utile. Recherchez-la dans le Prefetch (un fichier Prefetch SCRCONS.EXE), dans l'Amcache, dans les événements de création de processus (événement de sécurité 4688 lorsque l'audit des processus est activé, ou événement Sysmon 1) et dans la télémétrie EDR. Les processus enfants de scrcons.exe, tels que powershell.exe, cmd.exe ou rundll32.exe, orientent fortement vers un consommateur de script malveillant.

À l'inverse, les consommateurs de ligne de commande ne l'utilisent pas : un CommandLineEventConsumer est lancé par l'hôte des fournisseurs WMI, WmiPrvSE.exe. Savoir quel parent rechercher vous indique quel type de consommateur vous attendre à trouver dans le dépôt.

Exemple

Une séquence typique à corréler (horaires donnés à titre d'illustration) :

09:12:04  scrcons.exe starts (Prefetch, 4688)
09:12:05  powershell.exe -nop -w hidden -enc ...   parent: scrcons.exe

Face à une telle séquence, recherchez dans le dépôt CIM un consommateur de script et sa liaison, actifs ou récupérés, puis lisez le script et la requête du filtre. Alignez les heures d'exécution sur le déclencheur : un filtre sur le temps de fonctionnement se déclenche peu après le démarrage, un filtre sur l'ouverture de session à chaque connexion. L'événement 5861 et les événements Sysmon 19 à 21 permettent de dater l'enregistrement.

Termes associés

WMI Parser affiche chaque consommateur de script d'un dépôt collecté, avec le texte de son script. Pour la démarche complète, consultez la Checklist d'investigation d'une persistance WMI.